資料安全與法規遵循 企業進行雲端資料管理最大挑戰

隨著警政雲、食品雲、醫療雲等，政府越來越多雲服務逐漸上線，而這些雲上有大量的影像畫面、個資等，要做到更進一步的加值利用，勢必要進行巨量資料分析。不只政府，民間企業也是，越來越多企業逐漸重視社群媒體行銷，開始希望對消費者透過社群媒體所留下的訊息進行資料蒐集與分析，然而該如何合法、安全的使用這些來自社交媒體的使用者/消費者聲音，成為現今企業的首要挑戰，尤其是對電信、金融、醫療等產業而言。

根據資策會與研究機構IDC共同進行的調查顯示，企業現今在資料管理上所面臨的挑戰，落實資料保護與安全措施就佔30%，不違反法規（如個資法）的前提下管理與使用資料亦佔27.6%。

刑事局：23％詐欺事件起於個資外洩

根據165防詐騙統計，2013年上半年，光是個資外洩所產生的假冒機構詐財事件，占所有詐欺事件5分之1 

根據刑事局165防詐騙統計，在2013年上半年所有詐欺數據，光是B2C和C2C個資外洩所產生假冒機構的詐財事件，就占了全體詐欺案件中的23％。刑事警察局科技犯罪防制中心組長莊明雄表示，從這些統計數據來看，臺灣許多具有客戶規模的中小型電子商務業者，其所掌握的客戶個人資料，已經成為駭客覬覦的對象。 

資安防禦重點- 落實AP安全與端點管理

資安威脅越來越難以捉摸，資安解決方案的種類也越來越多，當最基礎的網路安全設備如：防火牆、入侵偵測(IPS)…等都已經具備了，下一步該怎麼做？該採購哪些資安解決方案，是IT/資安人員最關注的課題，以下將分別就政府與學校來探討其應注意的資安防禦重點。

政府資安防禦重點：避免資料外洩

政府部門擁有國家機密與民眾資料，一直是駭客/網軍攻擊的頭號目標，如何避免這些機密資料因為外部攻擊或內部公務員疏失而外洩，自然成為政府資安維運的主要目的。從前述文章中可以看出，政府資料外洩有很大一部份的原因在於，AP程式不安全，像今(2013)年5月底發生的電子公文事件，便是因為駭客取得了程式碼，再利用一句話木馬技術，將偽裝成更新程式的惡意程式，直接push到使用者電腦中。

落實AP安全與端點管理

其實，許多政府部門的資訊系統都存在歷史包袱，少數有預算的重點單位可以打掉重做，重新做好原始碼保存管理，但大多數的單位只能繼續使用這些早期開發且找不到維運廠商的AP。

逆向工程最佳防護機制方案(四)：超級型保護鎖

【 HASP HL Max 超級型保護鎖 】
實現強大拷貝保護、知識產權保護、基於特徵或按使用付費授權的完美解決方案

逆向工程最佳防護機制方案(二)：專業型保護鎖

【 HASP HL Pro專業型保護鎖 】  實現強大拷貝保護、知識產權保護、基於特徵或按使用付費授權的完美解決方案

【 防止軟體盜版的強大保護 】 
1.強大的盜版保護確保軟體發展商從每一次的軟體拷貝中獲得收入：HASP RM 採用 128 位元AES加密演算法，在軟體應用程式和硬體保護鎖之間建立起強大的連接。

HITCON：關閉X64防毒軟體 知名品牌無一倖免

在許多網路攻擊行動中，關閉防毒軟體是惡意程式入侵系統後第一件要務。在上周舉行的駭客年會，Chroot成員Kenny示範如何關閉x64版的防毒軟體。先繞過微軟的UAC（使用者存取控制）機制，接著繞過數位簽章檢查，最後防毒軟體完全失守。以市面上幾家知名防毒軟體做試驗對象，結果幾乎無一倖免。

南韓3月攻擊事件 早在4年前便現端倪

今(2013)年3月爆發的南韓攻擊事件，在台灣引起高度關注，日前(7/8)McAfee發佈調查報告指出，該攻擊並非獨立事件，而是屬於特洛伊行動(Operation Troy) 的一部份，而且事件尚未落幕，南韓目前仍然存在安全風險。 

McAfee表示，特洛伊行動是一個持續4年以上的長期網路間諜活動，最早始於2009年，由New Romanic Cyber Army Team和Whois Hacking Team兩大駭客集團主導，主要目的是竊取軍事和政府資料，目前沒有證據證實幕後有其他國家在支援。

資料竊取 - 任天堂網站遭攻擊，近2.4萬用戶個資可能外洩

目前未發現會員資料遭竄改或會員點數被盜用的情形。任天堂推測可能是使用其他公司服務流出的帳號密碼組合，直接拿到Club Nintendo嘗試破解，呼籲會員主動重設登入密碼。  

 日本遊戲巨擘任天堂（Nintendo）7月5日證實會員服務網站 Club Nintendo 在 6/9～7/4 間出現大量會員帳號遭非法登入的情形，目前任天堂已個別通知這些會員按照指定手續重新設定密碼，以保護個人資料安全。

歐盟新規 個資侵犯一日內通報

歐洲聯盟將採取新法規，加強保護電信及網路使用者的個人資料，相關業者必須在偵測到個資遭侵犯的24小時內通報主管機關，以盡可能降低損害範圍。

歐盟執行委員會正把新法規就位，當客戶個資遺失、遭竊時，釐清電信業者及網路服務提供者應該採取哪些行動，確保客戶在歐盟各國都獲得相同待遇，在歐盟境內有跨國服務的企業，在問題發生時也能採取一體適用的應變措施。

網路偷資料、ATM盜領 駭客集團竊取4500萬美金

隨著IT與網路普及，銀行搶劫的作案工具不再只是槍枝或口罩，透過駭客手法影響更大，日前，美國破獲一個駭客集團盜取銀行現金的犯罪案件，該集團入侵銀行系統取得資料後再製作偽卡，並持卡在全球26個國家的ATM總共盜領4500萬美元。

資料外洩 - 缺乏數位鑑識認知 小心淹滅寶貴證據

隨著2012年 政府公布實施個人資料保護法，數位鑑識這個經過多年奮戰的新興產業市場，終於來到了一個戰國時代，一個開始被政府及企業所重視的時代。

因為個資法中要求資 料保管人在發生資料外洩事件時，必須要擔負起舉證的基本責任，來證明其已做到善盡保管個人資料之責，但是由於大部份企業並沒有具備對數位鑑識及數位證據明 確的基本認知，更不要提到具有蒐集、處理或分析數位證據的能力，於是在面對資安事件發生時的應對及個資法基本規範時，將會面臨更重大的挑戰。

網路釣魚惡意軟體 - 新網路間諜程式MiniDuke曝光 高達23個國家受害

最近安全機構發現，有一波名為MiniDuke的網路間諜活動正在大規模展開，而且僅僅十天內，就感染來自23個國家的59台系統，受駭者包括政府單位、研究機構或私人公司…等。

步上Nokia後塵 Zendesk用戶個資外洩

委外服務是越來越普遍的趨勢，然而，如果缺少妥善管理，可能會讓公司和其用戶深陷巨大的資安風險中，近期由於委外廠商遭駭而牽連客戶的例子，除了台灣諾基亞(Nokia)之外，還包括客服軟體供應商Zendesk。

強化政府資安防禦能力從稽核與健診開始

進入資訊化社會，國與國之間的資訊戰也越演越烈，日前在科技會報新春記者會上，行政院科技政委張善政便直接表示，國安局破獲敏感資料外流的事件頻率很可觀，也因此，提昇政府單位資安防禦能力，便成當務之急的工作。

管好紙本個資文件 從前、中、後端並進

個資法正式上路，企業開始陸續著手進行相關系統、設備的升級或更新，但企業的焦點往往都放在「數位資安」，卻忽略了「紙本文件」與複合機文件輸出也跟資料外洩息息相關！

駭客計畫於2013年春季攻擊30家美國銀行

繼安全公司RSA在今年十月發出警告，指出一個名為Project Blitzkrieg的網路攻擊行動將鎖定30家美國銀行，以竊取其用戶帳戶中的金額後，McAfee日前也發布一份安全報告指出，該網路攻擊計畫確實存在，而且即將在2013年春季展開，因此呼籲銀行業者必須高度警戒。

Zeus最新變種病毒發威 歐洲網銀共被竊4700萬美元

專門鎖定網路銀行的宙斯(Zeus)木馬病毒向來是銀行業者的心頭大患，自2006年首度現身後，Zeus造成的災難就接連不斷。今年Zeus依舊再度發威，新的變種病毒在歐洲地區快速散布，導致至少30家銀行、3萬個企業與個人的銀行帳戶受到影響，竊取金額高達4700萬美元。 

資料竊取 - 奇怪新病毒Narilam 不偷資料只想刪除

奇怪新病毒Narilam 不偷資料只想刪除

賽門鐵克(Symantec)於十一月中時發布一份安全報告，指出發現一款新的奇怪病毒W32.Narilam，該款病毒會刪除和更改資料庫的資料，並專門鎖定SQL資料庫，伊朗是目前主要的感染國家。不過，伊朗官方當局在日前發出聲明，指出該份報告言過其實，並表示該病毒的威脅性不如其報告中所指那麼嚴重。

駭客攻擊 - 惡意郵件與新聞零時差 偽造退職所得稅新聞稿內藏木馬

駭客利用時事新聞發動攻擊的速度越來越快。上周（11/27）財政部賦稅署發布一則「公告102年度計算退職所得定額免稅之金額」新聞稿，三天後一封同樣內容但假造由行政院勞委會發出的惡意郵件，被更換了含有木馬程式的附件在網路上被大量轉寄散佈。資安廠商FireEye呼籲，使用者收到此類郵件應特別注意。

惡意程式散佈 - Google Docs被當攻擊代理伺服器 Win 8也不放過

資安專家發現一種新的惡意程式散佈方式。駭客利用Google Doc主機做為代理伺服器來規避偵測。它利用Google Doc的Viewer功能，讓使用者直接透過瀏覽器去檢視惡意檔案文件，藉此來與後端的命令控制伺服器(C&C)溝通，還因為Google Docs傳輸都有加密，因此不容易被阻擋。

賽門鐵克日前發現有木馬程式Backdoor.Makadocs藏身在RTF或Word文件當中，駭客先利用社交工程手法，以吸引人的主旨與內容誘騙使用者點擊文件，一旦點擊，木馬程式就會透過上述方式被下載到用戶端電腦中，而躲過偵測。以檔案的內容來看，目前主要以巴西的使用者為攻擊目標。